幾乎每一篇談這類裝置的文章都從「它保護什麼」開始，那是故事裡比較小的一半，也是最會害人出事的一半。保護的範圍很窄而且是真的：私鑰在晶片裡產生、不離開晶片、在裡面完成簽名。沒被涵蓋的是你自己按下確認之後的所有事情，而自我保管的餘額實際上就是在那裡消失的。下面就是那條分界線，依據是廠商自家的安全頁面與公開研究；另外還有第二個事實，一旦接受它，整個主題就會重新排好：裝置可以換，它產生的那些字不能。

1. 裝置不是錢包，先把這兩個詞分開

先把兩個常被混用的詞分開，後面幾乎所有結論都從這裡長出來。裝置並不是錢包。你的幣不在那台 機器裡，它們是區塊鏈上的紀錄；裝置保管的是那把能動用這些紀錄的鑰匙。錢包其實是復原字詞，而裝置只是 使用這組字詞的其中一種方式，而且可以換掉。

把定義擺正之後，工作內容就只剩一句話。裝置在自己的晶片裡產生私鑰、把它留在裡面，簽名也在裡面完成。 沿著傳輸線回來的是一筆已經簽好的交易。私鑰永遠不會離開晶片。

所以電腦中毒不再等於世界末日。惡意程式可以記錄你敲的每一個鍵，卻找不到東西可以拿，因為它要的祕密 從來沒有出現在那台機器上。對照一下手機上的軟體錢包：金鑰是加密後放在同一台 會開瀏覽器、會下載檔案、會收訊息的裝置裡。

螢幕是設計的另一半

光是隔離金鑰，價值會少一大截，因為總得有人告訴你正要授權什麼，而那個「有人」正是你已經不信任的 電腦。所以裝置把收款地址與金額顯示在自己的螢幕上。部分廠商說明，通過認證的安全晶片同時負責驅動那塊 螢幕，這是他們主張畫面上的數值沒有在半路被改掉的依據。

由此得到兩個結論，而且兩個都屬於習慣而非技術。確認那一步不是走過場，它是整套安全模型在對你提問。 如果你養成不看就按的習慣，等於買了隔離卻把驗證丟掉，而那是你付出的一半。

自己拿著鑰匙，等於同時失去客服

自我保管只代表一件事：沒有任何公司能動你的幣，也沒有任何公司能把幣還給你。客服無法撤銷一筆簽名， 鏈上也沒有可以申訴的窗口。對習慣了境內交易所、遇到問題還能打客服電話的人來說，這個「沒有窗口」才是 真正要簽下去的改變，而不是多了一台機器。

所以買不買這個問題，其實不看你有多少錢，而看你想拿掉哪一種壞法。想拿掉「公司出事」那一種，這台裝置 答得了；想拿掉「自己按錯」那一種，它答不了，而且還會把責任更明確地放到你身上。

2. 擋得住三件，擋不住三件

接著談定義之外、也是錢真正消失的地方。有人把硬體錢包連上一個仿冒得跟原網站一樣的頁面，點過一個 請求，在小螢幕上按下確認，一分鐘後代幣就不見了。裝置運作完全正常。有人請它簽一筆授權，它就簽了一筆 授權。

硬體錢包保護的是一把鑰匙，它不會替你監督決定。廠商在自家安全頁面就是這樣寫的，而這個分界 會告訴你：這筆花費解決了你哪些擔心，又把哪些擔心原封不動留在那裡。

擋得住三件，擋不住三件

先數擋得住的。受感染電腦想把私鑰複製走。剪貼簿把收款地址換掉。遠端想把祕密挖出來。這三件的共同點 是衝著鑰匙來，而一把不離開晶片的鑰匙就是完整答案。

再數擋不住的。你自己批准的代幣授權。對錢包無法解讀的資料簽名。你自己打進某處的復原字詞。這三件的 共同點是你按過確認的請求，界線劃在這裡，不是劃在攻擊有多高明。

3. 地址要在裝置上讀，而且要整串讀

這台裝置讓你能養成的最有用習慣，講起來很無聊、跳過去很容易。按確認之前，在裝置螢幕上讀 收款地址，不要在電腦視窗裡讀。整個設計就是為了這一個動作。

它要回應的威脅很老，而且到現在都還有效。剪貼簿惡意程式安靜地等，等到某段看起來像地址的字串被複製， 就換成寫程式那個人的地址。你貼上，欄位看起來是滿的，你送出。貼上這個動作沒有任何異常，因為它本來就 沒有異常。

只核對前面幾碼，就等於沒有核對

人們就是在這裡把保護還回去。地址很長，於是養成瞄前面四碼、看起來一樣就按確認的習慣。針對這類攻擊 的公開研究，也就是 EthClipper 那份工作，示範了對面顯而易見的回應：查一個預先產生好的地址資料庫，挑 出視覺上最像原本那組的送出來。前綴一樣的地址製造成本很低。

所以真的擋得住有心攻擊者的核對是三個點：前五碼、後五碼，再加中間任意一段。花幾秒鐘，而這就是 「驗證」跟「儀式」的差別。舉例來說，如果上週你已經存過一組地址，就跟自己存的那份比對，而不是跟網站 幫你自動填入的內容比對。

另外有一種看起來很像、原因卻不同的意外：螢幕上的地址確實是你的，幣還是掉到不容易拿回來的地方。 那是選錯鏈的問題，對常在不同鏈之間搬同一種穩定幣的人特別容易踩到。

4. 看見確認畫面，跟讀懂它是兩回事

再來是比較難受的部分，也是上一段能那樣寫的原因。看見裝置螢幕，跟讀懂裝置螢幕，是兩件事，而中間那 道縫有名字。

盲簽指的是錢包無法解讀它正要你授權的那筆交易。單純轉幣可以乾淨地解出來，你會看到地址和金額； 呼叫智能合約則可能解不出來，這時送到螢幕上的是讀不懂的資料，按下確認就等於同意了一件沒人告訴你效果的 事。

修這個問題有過三次嘗試，各自停在哪裡

整個生態一路在改。EIP-712 把十六進位字串換成有結構、看得懂的欄位，這是真的進步，但還不是解答，因為 技術欄位會跟重要欄位一起湧進來，重要的那幾個就被埋掉。清晰簽名再往前一步：裝置解析內容，只顯示選定的 欄位，於是螢幕用普通的話告訴你這筆交易在做什麼。

陷阱寫在廠商自己的文件裡。某個合約要能清晰簽名，必須在登錄檔裡有對應的描述資料；沒有的話，簽署端 就退回盲簽。也就是說，你的確認畫面品質，取決於有沒有人替你正在互動的那個合約先做過準備，而你會在必須 做決定的當下才知道答案。

這些都不代表裝置在合約互動上沒用。它只是讓誠實的建議比流行的建議多一句。流行版停在「去買一台硬體 錢包」，正確版接著說：還要學會認出那種什麼都沒告訴你的畫面。

5. 一筆授權活得比產生它的那次交易還久

授權值得單獨一節。它是多數自我保管錢包被搬空的機制，也是「裝置盡了本分、你照樣賠錢」最清楚的 案例。

要讓一個合約代你搬動代幣，你會在另一筆交易裡授予權限。那個權限會留著。它不會因為你想做的那次兌換 就用完，不會自己到期，會一直留在鏈上直到有東西把它移除。把無上限的權限給了惡意合約，搬空可能發生在 幾分鐘後，也可能發生在幾週後，看攻擊者什麼時候方便。

為什麼硬體在這裡幫不上忙

因為沒有東西被偷。一把有效的鑰匙，替一筆由持有者確認的交易，產出了有效的簽名。安全模型的每個零件 都照設計運作。廠商在自家指引裡的說法也差不多：裝置能阻止攻擊者拿走你的鑰匙，而 它不會收回你已經給出去的授權。

對策在上面一層，也就是檢視並撤銷代幣授權，而且最好排進行事曆，不要等 出事才做。大部分這類簽名來自兩個入口：一個是宣稱你有份的領取頁面，寫在 怎麼分辨真空投跟盜領程式；另一個是先來找你的客服帳號，寫在 加密貨幣詐騙是怎麼組起來的。在台灣，這兩個入口很常是 LINE 群或社群私訊裡的一 條連結。

如果事情已經發生，被詐騙的加密貨幣拿得回來嗎會把實際狀況講完，值得在你 再花錢去追之前先看。如果外洩的是整組字詞而不是單一授權，那是另一種急迫、另一種時間表，請看 復原字詞外洩時該怎麼辦。

6. 定義擺正之後，每一種意外都變了樣

回到開頭那個定義，把它套進真正會發生的意外，事情就不再嚇人了。既然裝置不是錢包，那麼弄丟裝置就不是 弄丟資產。

PIN 輸錯是一種防禦，次數依產品而定

PIN 跟備份是各自獨立的，所以忘記 PIN 的代價是一次還原，不是資產。錯誤次數上限是各家產品各自的 數字，寫的時候應該把品牌一起寫上：Ledger 裝置錯三次就回復原廠設定，Trezor Safe 7 是十次，其他 Trezor 型號是十六次。三者事後狀態一樣，都是空的，而字詞會把它們帶回來。這個清空也正是撿到裝置的人不會直接 進門的原因，因為沒有人有無限次嘗試。

製造商不是你的依賴對象

復原字詞是從一份固定的 2,048 個單字表裡取出的 12 到 24 個單字，依順序排列，這是 BIP-39 的慣例。 同樣的單字永遠算出同樣的金鑰，所以用甲廠裝置建立的錢包，可以用乙廠的裝置還原。「公司倒了幣就跟著沒了」 這個說法碰到這個事實就站不住。

同一個事實旁邊還黏著一句警告，而且廠商寫得很清楚：不要為了確認什麼，把硬體錢包的字詞輸入到軟體錢包 裡。那等於把祕密搬到一台連著網路的機器上，而字詞當初在裝置裡產生就是為了避開這件事。

還原之後餘額顯示 0

這個畫面很嚇人，而且幾乎都是顯示問題。衍生路徑是應用程式在讀的那條金鑰樹分支，不同分支會從 同一組字詞算出完全不同的地址。比特幣最好舉例：一條路徑給出 1 開頭的地址，另一條給 bc1q，再一條給 bc1p，沒有哪一條是錯的。應用程式讀到別的分支，就會很誠實地回報 0。把你已經知道的地址貼進區塊瀏覽器， 如果餘額在那裡，要調整的是路徑設定或帳戶編號。

7. 兩種風險往相反方向拉

字詞怎麼保管，是新手拿到互相矛盾建議的地方，而那個矛盾是真的，不是誰隨便講。兩種風險往相反方向拉， 沒有任何做法能同時壓低兩邊。

備份份數增加，弄丟的機率下降，被人找到的機率上升。全部集中在一個地方，交換就反過來。把字詞拍照或 放進雲端，等於一次做了兩件有害的事：既多了一份副本，又把它放在網路構得到的系統裡。

密語是第二個祕密，也帶來第二種壞法

密語是額外輸入的一段字串，跟復原字詞合起來衍生出另一個隱藏錢包，而且不會存在裝置裡。有兩點 會讓人意外。打錯的時候不會有人提醒你打錯，它只是開出另一個空的錢包，因為任何密語都是有效的，各自產生 各自的帳戶。忘記的時候，文件寫得很直接：沒有可靠的復原方法，廠商也幫不上忙。

所以密語的位置就跟表格擺的一樣。面對同時拿到你的裝置和你的紙的人，它是現有最強的答案；同時它也是 一個新的單點失效，而且由你自己的記憶維護。這是有真實代價的選擇，不是因為論壇說要開就開的設定。

8. 盒子送到時，有哪些事必須是真的

硬體錢包一生中風險最高的時刻，是你設定它的那一個小時。其餘時間由設計保護，設定過程只由「你有沒有 注意到」保護。

一條規則涵蓋大部分：裝置必須以未初始化的狀態送到，字詞必須第一次在你手上產生。廠商的文件不會附上 已經寫好的單字，也不會附 PIN。如果單字已經填好，那台裝置就經歷過一次不是你做的設定，而做那件事的人 看得到跟你一樣的餘額。市面上真的出現過這樣賣的機器，還很貼心地附上字詞，所以兩家大廠都貼了二手裝置的 警告。

各項檢查分別回答什麼問題

設定流程包含正品驗證，也就是裝置向原廠 App 證明自己是它宣稱的東西。部分產品另外提供韌體雜湊檢查， 回答的是另一個問題：硬體是不是真的先擱著，重點是裡面的程式是不是公開發布的那一版。而且韌體更新要過 PIN， 所以拿到機器的人沒辦法安靜地裝上自己的版本。

這一段不需要緊張。走官方通路購買，拒絕收到時已經初始化的機器，跑一次 App 提供的驗證，字詞自己寫。 在多數機器都得從海外寄來、中間還經過幾手的地方，最後那一點比價格重要：你要驗的不是盒子，而是字詞是 跟你一起誕生的。

9. 實體接觸是真的威脅，也有明確的答案

實體接觸屬於威脅清單的一部分，而這裡是最容易往兩邊失去誠實的地方。講得太重，裝置聽起來像沒用；講得 太輕，它就會被留在旅館抽屜裡。

公開的研究說得很具體。一個資安團隊示範，在以通用微控制器為基礎的舊型號上，於開機過程中對供電電壓 做特定擾動，可以繞過讀取保護、把加密後的種子讀出來。那需要裝置在手上大約十五分鐘，加上便宜的設備，而 且無法遠端進行。這些數字屬於那份研究、那些型號，不能拿來當作對今天在賣的產品的判決。

兩邊各給出一個答案

廠商那邊的答案是硬體。之後的產品改用通過認證的安全元件，也就是專門設計來抵抗這類實體攻擊的晶片， 其中一款現行型號在驗證 PIN 時同時使用兩顆。使用者這邊的答案原本就存在：同一份研究記錄，只要啟用 BIP-39 密語，這個攻擊就不成立，因為從晶片裡取出來的字詞已經不足以推出帳戶。

剩下的實務結論很短。裝置待在別人手上的時間是真實變數，新的晶片把它縮小，而密語用上一節說過的代價 直接回應它。

10. 選配備份服務改變的是你在信任誰

部分廠商在賣選配的備份服務。看它要看機制，不要當成忠誠度測驗，因為它改變的是你在信任誰，而不是 任何東西的強度。

機制照提供者自己的說明：安全元件把你字詞背後的熵做成一份加密副本，切成三塊碎片，每一塊各走各的 管道，送到位於不同國家的三家不同公司。單獨一塊碎片沒有任何用處。要還原必須先通過身分驗證，之後三塊 裡的兩塊會在你的裝置上、在你明確同意之下重新組合起來。

打開它之後，哪些東西移動了

打開之前，「誰有辦法重建你的錢包」這個問題的答案只有一項：拿到你字詞的人。打開之後清單變長，因為 身分驗證，以及那幾家保管業者能不能持續運作，都被算進去。相對的好處是：真正把多數自我保管餘額毀掉的 那種壞法，也就是字詞弄丟而不是被偷，現在有一條回頭路。

有兩件事值得說清楚。它是選配的，不打開就維持原本的安排。而這個選擇不是安全跟不安全之間的選擇，是 兩份不同的「你在依賴誰」清單之間的選擇。你的答案取決於你比較可能被偷，還是比較可能弄丟一張紙。

11. 搬得進去，不等於動得了

幾乎每個人第一次走向自我保管都會撞上一道實務的牆，而且跟安全無關。把代幣放進裝置很容易，之後要把 它們動起來，需要一樣大家會忘記帶的東西。

手續費要用那條鏈自己的原生代幣支付。把穩定幣搬到以太坊，同一個錢包裡就得先有 ETH，任何東西 才出得去；在波場上搬代幣就需要 TRX。代幣付不起自己的轉帳費，所以一個餘額很大卻沒有原生代幣的錢包， 是看得到、動不了的錢包。這筆帳怎麼算，以及為什麼你送的金額不在算式裡，寫在 網路手續費與 gas 的說明。

第一次轉出，通常錯在哪裡

假設你第一次把幣從交易所提出來。有三件事會讓人慌，而且都不是攻擊。交易所那邊選的鏈，必須是接收錢包 正在看的那條鏈。確認要花的時間就是那條鏈需要的時間，所以還沒出現的餘額多半是 還沒入帳的存款，不是損失。還有原生代幣要在你需要它之前就先放好。

也要知道去跟回是兩趟。把手上的幣換回台幣，通常得再送回交易所一次，兩個方向都有手續費跟等待。習慣了 境內交易所直接出金的人，對這段回程會特別有感。這不是跳過自我保管的理由，而是大家把兩件事分開的理由： 要交易的放在交易的地方，要放著的放在放著的地方。

12. 這台裝置完全碰不到的那些事

另一個方向的界線也該說清楚。硬體錢包碰不到你留在交易所的餘額、暫停中的提領、倒閉、對方不付款的私下 交易，也碰不到單純虧損的部位。它只改變其中一類資產的保管方式：那些在你的金鑰簽名時才會移動的資產。

三個地方可以放，三個地方壞的方式都不一樣

第一列值得慢慢看。交易所畫面上的數字，是某家公司資料庫裡的一筆紀錄，代表他們欠你多少。公司正常運作 時，這個差別看不出來；公司停下來的那一刻，這個差別會變成唯一重要的事，那正是 交易所倒了我的幣會怎樣談的內容。倒閉很罕見，經常發生的是同一種依賴的兩個小型 版本：交易所帳戶被盜與提領被凍結。

所以大多數人最後兩邊都用。要買、要賣、要換回台幣的走交易所，要放著不動的就不必留在那裡。 怎麼判斷一家交易所可不可信是那一邊的檢查清單，而 交易所比較談手續費與帳戶規則。如果你還在第一步， 怎麼開始接觸加密貨幣排在這一切之前。

聯盟行銷揭露：部分連結為合作夥伴連結，我們可能會獲得佣金，但不會增加你的任何費用。本文並非投資建議。

13. 常聽到的說法，與文件實際寫的內容

關於這類裝置，有六句話一直在流傳。每一句不是錯的，就是只在比聽起來窄得多的範圍裡成立。

名詞一次講完

復原字詞。所有金鑰都由它算出來的那份有序單字清單，12 到 24 個字。標準是 BIP-39，取自固定的 2,048 個單字表。

安全元件。通過認證、專為抵抗實體攻擊而設計的晶片，用來保管金鑰，部分產品也用它驅動螢幕。

密語。與復原字詞合併使用、用來衍生另一個隱藏錢包的額外字串。不存在裝置裡，忘記就無法救回。

衍生路徑。應用程式讀取的那條金鑰樹分支。不同路徑會從同一組字詞產生不同地址，所以還原後可能 看起來是空的。

盲簽。確認一筆錢包無法解讀的交易，畫面顯示的是原始資料，而不是這筆交易在做什麼。

代幣授權。在獨立交易中給出的權限，讓合約可以代你搬動代幣，並且一直有效到被撤銷為止。

自我保管。金鑰由你自己拿著，對手方消失，客服也同時消失。

14. 我的看法：文件與研究擺在一起讀完之後

把廠商文件跟公開研究擺在一起讀完，我留下四點，而只有第一點算稱讚。

設計本身是自洽的。隔離金鑰、在晶片內簽名、在裝置上放一塊螢幕，讓被入侵的電腦沒辦法對「正在 授權什麼」說謊。文件裡每一項功能都服務這三件事的其中之一，而 PIN 的清空行為、正品驗證、韌體鎖，也都 落在這套邏輯會把它們放的位置上。

它適合的範圍比行銷講的窄。對私鑰被偷、遠端入侵、地址替換，它答得很好。對授權釣魚，它完全沒 有答案，而且它把你紙上的那幾個字變成你手上最值錢的東西。如果你的擔心是交易所扣住提領或倒閉，裝置回答 得了；如果你的擔心是自己簽錯東西，它回答不了。

整套模型裡最站不住的假設不在硬體。而在「人每一次都會認真讀一塊小螢幕」這個前提。業界其實已經 用行動承認了這一點，才會去做清晰簽名讓畫面變得可讀，而那份工作又取決於你面前那個合約有沒有現成的描述 資料。設計裡真正承重的那一段，剛好是被交給桌前那個已經很累的人的那一段。

反方意見成立的地方也很清楚。每週都在交易、餘額不大、又向來保管不好紙本文件的人，合理地可以 判斷：對他而言，一個有提領控管、防護做好的交易所帳戶才是風險較低的安排，而這個產業的倒閉紀錄就是他 必須一起承擔的反面論據。我不接受的，是任何一方把事情框成「其中一種就是比較安全」，因為兩種壞掉的方式 不一樣，而你能承受哪一種壞法，是關於你自己的事實，不是關於產品的事實。

常見問題

接著看：加密貨幣錢包是什麼，各種類型差在哪裡